輕松解決Windows防火牆配置問題

　　防火牆有助於提高計算機的安全性。Windows 防火牆能夠限制從其他計算機發送到用戶計算機上的信息，這使得用戶可以更好地控制其計算機上的數據，並針對那些未經邀請而嘗試連接到其計算機的用戶或程序（包括病毒和蠕蟲）提供了一條防御陣線。

　　如果您苦於在由於啟用防火而增強的安全性與維持系統的效率之間謀求一個平衡點,那麼筆者推薦您讀一下大師Michael Howard先生的一篇文章來了解一些具體細節信息。Michael向我們展示了您的本地配置和設置的任何組策略是如何影響防火牆，“netsh命令是怎樣用於精確揭示防火牆的內部機理。

　　Netsh 是一個命令行腳本實用程序，可讓用戶從本地或遠程顯示或修改當前運行的計算機的網絡配置。Netsh 還提供了允許用戶使用批處理模式對指定的計算機運行一組命令的腳本功能。Netsh 實用程序也可以將配置腳本以文本文件保存，以便存檔或幫助配置其他服務器。

　　Netsh實用程序在Windows XP Service Pack 2中得到了極大的增強，包含了新選項的所有運行方式。通過在筆者計算機上的命令運行結果可以看出，Netsh命令相當友好。

　　如何啟動這個命令就不用說了吧。

　　C:> netsh firewall show?

　　下面的命令您是可以用於查看防火牆的的配置情況：

　　show allowedprogram –顯示被允許的程序配置

　　show config - 顯示防火牆的配置

　　show currentprofile -顯示 Windows 防火牆的當前配置文件.

　　show icmpsetting -顯示 Windows 防火牆中的 ICMP 配置

　　show logging -顯示 Windows 防火牆中的日志記錄配置

　　show multicastbroadcastresponse –顯示防火牆的組播/廣播響應配置

　　show notifications -顯示 Windows 防火牆中的通知配置

　　show opmode -顯示 Windows 防火牆中的操作配置

　　show portopening -顯示 Windows 防火牆中的端口配置

　　show service -顯示 Windows 防火牆中的服務配置

　　show state -顯示 Windows 防火牆的當前狀態

　　當然，如果想精確配置防火牆，請使用如下的命令：

　　netsh firewall set allowedprogram 編輯 Windows 防火牆中的允許程序配置

　　netsh firewall set icmpsettings 編輯 Windows 防火牆中的 ICMP 配置

　　netsh firewall set logging 編輯 Windows 防火牆中的日志記錄配置

　　netsh firewall set notifications 編輯 Windows 防火牆中的通知配置

　　netsh firewall set opmode 編輯 Windows 防火牆中的操作配置

　　netsh firewall set portopening 編輯 Windows 防火牆中的端口配置

　　netsh firewall set service 編輯 Windows 防火牆中的服務配置

　　掌握了這些強大的工具，我們再配置起防火牆來就輕松多了。

　　隨著防火牆技術的成熟和發展，防火牆已成為阻擋黑客攻擊銀行計算機網絡的城牆。在計算機網絡上安裝防火牆，建立更加堅實的安全體系結構是銀行業安全的重要事件。

　　一 銀行對防火牆的要求

　　用於銀行計算機網絡的防火牆產品，根據使用位置不同，性能、功能、防護強度的要求也不盡相同。鑒於銀行計算機網絡的安全需求，防火牆產品至少應能滿足以下要求。

　　1． 功能要求

　　具有訪問控制功能，包括對Http、FTP、SMTP、Telnet、NNTP等服務類型的訪問控制，可以通過制定策略來進行訪問控制，確保只允許符合網絡安全策略的訪問和服務才能進出銀行內聯網。具有抗攻擊性，包括對防火牆本身和受保護網段的攻擊抵抗能力，能有效防止拒絕服務攻擊，保證銀行計算機網絡上運行信息的可用性、可靠性，能夠識別一些常用的攻擊手段如端口掃描等。支持地址轉換功能，不僅要支持靜態地址轉換、動態地址轉換還要支持IP地址與TCP/UDP端口的轉換，能夠屏蔽被保護網絡的細節。支持DMZ的連接方式，可以按照需要設置DMZ分區，防止IP地址欺騙。防火牆要適合銀行的網絡接入模式、接口規范要求。防火牆要具有很高的可靠性，不應降低銀行計算機網絡現有的可靠性。支持透明接入和透明連接，不影響原有網絡設計和配置。

　　2． 性能要求

　　防火牆要適合銀行計算機網絡的網絡帶寬、性能指標等要求，不能成為網絡瓶頸，或明顯影響網絡工作效率；要求時延小、時延抖動小；吞吐量滿足網絡帶寬需求；包轉發率達到網絡要求；並發連接數不應限制系統的正常使用。

　　3． 其他要求

　　支持本地和遠程集中管理兩種管理方式功能，以便於網絡管理員對網絡的管理；審計日志功能，按事先規定的方式進行記錄，支持對日志的統計分析，提供多種統計分析手段；實時告警功能，對防火牆本身或受保護網段的非法攻擊支持多種告警方式（如聲光告警、Email告警、日志告警等）；用戶管理界面簡單友好等。

　　防火牆的功能是相互影響的，有些功能能增強網絡的安全性，但卻以網絡的性能為代價；有些功能能增加網絡的易用性，但卻以網絡的安全性為代價。防火牆必須按實際應用合理配置，然後在安全、易用、性能等各個方面進行平衡。不正確的配置會導致安全漏洞，而過於嚴格的配置則會導致用戶使用不便。

　　使用U盤、移動硬盤加密工具加密文件夾後，我用文件嗅探器工具也看不到加密後真實的文件，當用金山毒霸掃描發現，好像這些文件被隱藏保存在/Thumbs.dn/7./中（其中那個7.中的7有時是其他的數字），但是我直接這樣還是不能進入，所以我就特意對這款加密工具研究了一下，下面說下我的一點心得。

　　我們先在D盤新建個文件夾如lskr，即地址為D:/lskr，在裡面隨便放些文件，我放了大小分別為168KB和681KB的exe文件lskr1.exe和lskr2.exe，再將U盤加密工具綠色版（文件名為addpass.exe）放進去，運行這個addpass.exe，用密碼為123456加密後，前面兩個文件消失，只剩下addpass.exe這一個文件。

　　我們在“我的電腦－工具－文件夾選項－查看中勾選“顯示所有文件和文件夾，又把“隱藏受保護的操作系統文件（推薦）前的勾去掉，勾上“顯示系統文件夾的內容，這時顯示出另兩個隱藏文件Thumbs.dn和desktop.ini，在desktop.ini中的內容是：[.ShellClassInfo]InfoTip=文件夾 IconIndex=2 IconFile=addpass.exe ConfirmFileOp=1 看了下對我們好像沒用，不用管它，再看Thumbs.dn的大小有850KB，和那兩個文件的總大小差不多，不用懷疑，那兩個文件一定是隱藏在裡面的，直接雙擊進入Thumbs.dn，發現裡面有個“添加打印機和“Microsoft Office Document Image Writer，並未發現我們尋找的文件，那兩個文件跑哪去了呢？

　　

　　我們在開始-運行-輸入cmd，確定後進入MS-Dos，輸入“cd/回車進入C:，輸入“D:回車進入D:，輸入“cd d:/lskr/Thumbs.dn進入Thumbs.dn，再輸入“dir /a，這時候我們發現裡面有幾個文件：117789687，117789687LIST.men，1.mem，2.mem和desktop.ini，我們發現1.mem，2.mem的大小與最先放進去的那兩個文件剛好差不多，所以他們應該是加密後的自定義格式文件，我們直接將它們拷貝出來看，使用命令“copy 1.mem D:/和“copy 2.mem D:/將這兩個文件復制到D盤，再將它們的後綴由.mem改為.exe，這時我們驚奇的發現它們都恢復成本來的模樣，跟放進去時的文件除文件名外都相同，看來這種所謂的U盤加密只是簡單的改下後綴名，然後再隱藏一下而已。

　　

　　 但是雖然我們能找到加密過後的文件，下一步我們能不能破解那個加密的密碼呢？我們發現還有個文件117789687LIST.men，而這個文件很可能就是用來保存密碼的，使用命令“copy 117789687LIST.men D:/和“start 117789687LIST.men，都提示系統找不到指定的文件，這時我們使用“attrib 117789687LIST.mem -s -h -r，刪除文件的shr屬性，再使用命令“start 117789687LIST.mem，用文本文檔打開，發現裡面是一長串的字符，原以為這就是密碼經過加密過後的代碼，後來我又換了個密碼重新加密，發現裡面代碼的內容沒有改變，但當我把需要加密的文件增多或減少時，裡面的內容隨之變化。

　　於是我猜想這應該是存儲加密文件的文件名等信息的，我又看了另外個文件desktop.ini，裡面內容為[.ShellClassInfo] CLSID=，還有個文件117789687，內容為343636303032，當加密密碼改變時，這個代碼也隨之改變，如密碼換成123時，這個代碼變成343636，所以我判斷這個才是真正的密碼存儲文件，但是它使用的是什麼加密方式，我就無從得知了。

　　但我們可以使用替換法解決問題，如果我們忘記加密時的密碼或查看別人的加密文件時，就可以將我們知道密碼的加密代碼來替換這段代碼，於是就可用我們已知的密碼解密那個加密文件夾了，例如我們可以將上面的代碼343636303032替換其他加密文件的代碼後，這時解密密碼就變成123456。

　　這樣，